CVE-2025-31486
中已发布
Vite 允许通过 .svg 或相对路径绕过 server.fs.deny
- 已发布
- 2025年4月3日
- 已更新
- 2025年4月3日
- 分配 CNA
- GitHub_M
- 观察到的证据
- 2026年8月8日
初级CVSS
5.3/ 10中
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:N/A:N40.5%
中 · 未来 30 天
- 百分位
- 98.6%
- 型号日期
- 2026年10月17日
EPSS 是统计估计，而不是确定性或影响衡量标准。将其与 CVSS、KEV 状态、暴露程度和您的环境相结合。
总结
Vite 是一个用于 JavaScript 的前端工具框架。任意文件的内容可以被返回给浏览器。通过添加 `?.svg` 并配合 `?.wasm?init`，或使用 `sec-fetch-dest: script` 请求头，可以绕过 `server.fs.deny` 限制。此绕过仅在文件小于 `build.assetsInlineLimit`（默认值：4kB）且使用 Vite 6.0+ 时可能实现。只有明确将 Vite 开发服务器暴露到网络（使用 `--host` 或 `server.host` 配置选项）的应用会受到影响。此漏洞已在 4.5.12、5.4.17、6.0.14、6.1.4 和 6.2.5 版本中修复。
来源
仓库证据: 文件：1 · 仓库：1
1 模板
http/cves/2025/CVE-2025-31486.yaml
Nuclei Templates声明的条件
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
容器化实验环境，用于模拟并利用 CVE-2025-31486——Vite 开发服务器中的路径遍历漏洞，并提供分步操作说明，适用于实战化安全培训。
负责任的使用
仅在您拥有或有权测试的系统上使用漏洞信息。 Kitploit 链接到公共研究元数据，并且不存储漏洞代码或恶意负载。